CVE-2020-3161
Cisco IP Phones Web Server Remote Code Execution and Denial-of-Service Vulnerability
Beschreibung
CVE-2020-3161 ist eine Schwachstelle mit dem Schweregrad CRITICAL zur Remote-Code-Ausführung und Denial-of-Service im Webserver von Cisco IP-Telefonen, klassifiziert unter CWE-20 (Unsachgemäße Eingabevalidierung). Die Schwachstelle resultiert aus mangelnder Eingabevalidierung von HTTP-Anfragen durch den integrierten Webserver des Telefons. Ein nicht authentifizierter, entfernter Angreifer kann eine präparierte HTTP-Anfrage senden, um Code mit Root-Rechten auszuführen oder ein Geräte-Reload zu verursachen. Mit einem CVSS-3.1-Score von 9.8 und einem EPSS-Score von 0,83148 (99,25. Perzentile) stellt diese Schwachstelle ein extremes Ausnutzungsrisiko dar. CISA hat sie am 3. November 2021 in den KEV-Katalog aufgenommen. Mehrere Cisco IP-Telefon-Modelle sind betroffen, darunter die Serien 7800 und 8800.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | ip phone 8865 firmware | 10.3\(1\)es14; 11.0\(1\); 11.0\(5\)sr1 |
| cisco | ip phone 8851 firmware | 10.3\(1\)es14; 11.0\(1\); 11.0\(5\)sr1 |
| cisco | ip phone 7841 firmware | 11.0\(1\) |
| cisco | ip phone 7821 firmware | 11.0\(1\) |
| cisco | ip phone 8811 firmware | 10.3\(1\)es14; 11.0\(1\); 11.0\(5\)sr1 |
| cisco | ip phone 8861 firmware | 10.3\(1\)es14; 11.0\(1\); 11.0\(5\)sr1 |
| cisco | ip phone 8845 firmware | 10.3\(1\)es14; 11.0\(1\); 11.0\(5\)sr1 |
| cisco | ip phone 7861 firmware | 11.0\(1\) |
| cisco | ip phone 8841 firmware | 10.3\(1\)es14; 11.0\(1\); 11.0\(5\)sr1 |
| cisco | ip phone 7811 firmware | 11.0\(1\) |
| cisco | ip phone 8821 firmware | 10.3\(1\)es14; 11.0\(1\); 11.0\(5\)sr1 |
| cisco | ip phone 8821-ex firmware | 10.3\(1\)es14; 11.0\(1\); 11.0\(5\)sr1 |
| cisco | 8831 firmware | 10.3\(1\)es14; 11.0\(1\); 11.0\(5\)sr1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157265/Cisco-IP-Phone-11.7-Denial-Of-Service.html(Exploit, Third Party Advisory, VDB Entry)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voip-phones-rce-dos-rB6EeRXs(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-3161(US Government Resource)
Schwachstellentyp
CWE-20: Unsachgemäße Eingabevalidierung
Unsachgemäße Eingabevalidierung tritt auf, wenn ein Produkt Eingaben oder Daten empfängt, diese jedoch nicht oder falsch auf die erforderlichen Eigenschaften für eine sichere und korrekte Verarbeitung überprüft. Webserver sind für diese Schwäche besonders anfällig, da sie komplexe HTTP-Anforderungsstrukturen einschließlich Header, URI-Pfade, Query-Parameter und Anforderungskörper parsen müssen. Bei unzureichender Validierung können Angreifer Anfragen erstellen, die Pufferüberläufe, Format-String-Schwachstellen oder andere Speicherkorruptionsprobleme auslösen.
Im Kontext von CVE-2020-3161 validiert der in Cisco IP-Telefonen eingebettete Webserver den Inhalt eingehender HTTP-Anfragen nicht ordnungsgemäß. Die Telefone stellen einen Webserver für Konfigurations- und Verwaltungszwecke bereit, der im Netzwerk lauscht. Wenn dieser Webserver eine speziell präparierte HTTP-Anfrage mit bösartigen Eingaben in bestimmten Anforderungsfeldern empfängt, ermöglicht die unzureichende Validierung das Überlaufen interner Puffer oder die Korruption von Speicherstrukturen. Da der Webserver-Prozess mit Root-Rechten auf dem Betriebssystem des Telefons läuft, gewährt erfolgreiche Ausnutzung dem Angreifer die vollständige Kontrolle über das Gerät.
Mehr erfahren: CWE-20 — Unsachgemäße Eingabevalidierung
Auswirkungsanalyse
CVE-2020-3161 weist einen CVSS-3.1-Basiswert von 9.8 (CRITICAL) mit netzwerkbasierten Angriffscharakteristiken auf, die keine Authentifizierung oder Benutzerinteraktion erfordern.
Vertraulichkeit (Hoch): Root-Level-Code-Ausführung auf einem Cisco IP-Telefon bietet vollständigen Zugriff auf die Konfiguration des Geräts, gespeicherte Zugangsdaten, Anruflisten, Voicemail-Aufnahmen und alle vom Telefon verarbeiteten Daten. Der Angreifer kann aktive Sprachgespräche abfangen, das Mikrofon des Telefons für Raumüberwachung aktivieren und auf die Netzwerkkonfiguration einschließlich VLAN-Zuweisungen und 802.1X-Zugangsdaten zugreifen.
Integrität (Hoch): Mit Root-Zugriff kann ein Angreifer die Firmware, Konfiguration und das Verhalten des Telefons modifizieren. Dies umfasst die Änderung der Anrufweiterleitung, die Modifikation der Telefonanzeige für Social-Engineering-Angriffe, die Installation persistenter Backdoors und die Änderung der Netzwerkkonfiguration für laterale Bewegung in Voice-VLANs.
Verfügbarkeit (Hoch): Die Schwachstelle kann direkt ein Geräte-Reload verursachen und den Telefondienst für den betroffenen Endpunkt unterbrechen. Ein Angreifer kann Telefone in einer Organisation systematisch zum Absturz bringen und einen vollständigen Telefonieausfall verursachen. In Notfallumgebungen wie Krankenhäusern kann der Verlust des Telefondienstes lebensbedrohliche Konsequenzen haben.
Scope (Unverändert): Obwohl der CVSS-Scope unverändert ist, befinden sich kompromittierte IP-Telefone in Voice-VLANs, die oft weniger abgesichert sind als Daten-VLANs. Ein kompromittiertes Telefon kann als Pivot-Punkt für laterale Bewegung in die Voice-Infrastruktur dienen.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2020-3161 wird aktiv in der Praxis ausgenutzt. CISA hat diese Schwachstelle am 3. November 2021 in den Known Exploited Vulnerabilities Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Mai 2022.
Öffentlicher Exploit: Ein öffentlicher Exploit ist auf Packet Storm Security als Cisco IP Phone 11.7 Denial Of Service verfügbar. Die Verfügbarkeit öffentlichen Exploit-Codes senkt die Ausnutzungsschwelle erheblich.
Hoher EPSS-Score: Der EPSS-Score von 0,83148 (99,25. Perzentile) platziert diese Schwachstelle in den obersten 0,75% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit.
Große Angriffsfläche: Cisco IP-Telefone sind in Unternehmensumgebungen allgegenwärtig, mit Millionen weltweit eingesetzter Geräte. Der Webserver ist bei vielen Modellen standardmäßig aktiviert und oft vom Daten-VLAN aus erreichbar.
IoT/Telefon-Patching-Herausforderungen: IP-Telefone sind aufgrund ihrer großen Stückzahlen, der Notwendigkeit koordinierter Firmware-Upgrades über CUCM und der betrieblichen Auswirkungen von Telefon-Neustarts während der Geschäftszeiten notorisch schwer zu patchen.
Behebung
-
Cisco-Firmware-Updates umgehend anwenden. Installieren Sie die gepatchten Firmware-Versionen gemäß dem Cisco Security Advisory cisco-sa-voip-phones-rce-dos-rB6EeRXs. Verwenden Sie den Cisco Unified Communications Manager (CUCM) für die zentrale Firmware-Verteilung.
-
Webserver auf IP-Telefonen deaktivieren, wenn nicht benötigt. Wenn die Web-Oberfläche des Telefons nicht für die Verwaltung erforderlich ist, deaktivieren Sie sie über die Phone-Security-Profile-Einstellungen in CUCM. Dies eliminiert den Angriffsvektor vollständig.
-
Netzwerkzugriff auf den Telefon-Webserver einschränken. Implementieren Sie Access-Control-Listen auf Netzwerk-Switches, um einzuschränken, welche Quell-IP-Adressen die HTTP/HTTPS-Ports des Telefons erreichen können.
-
Voice-VLAN-Segmentierung durchsetzen. Stellen Sie sicher, dass IP-Telefone in dedizierten Voice-VLANs liegen, die ordnungsgemäß von Daten-VLANs und externen Netzwerken isoliert sind.
-
Auf Ausnutzungsindikatoren überwachen. Achten Sie auf ungewöhnliche HTTP-Verkehrsmuster, die an IP-Telefon-Adressen gerichtet sind, insbesondere Anfragen mit übergroßen Headern oder fehlerhaften URI-Pfaden.
-
Netzwerkbasierte Intrusion Prevention implementieren. Setzen Sie IPS-Signaturen ein, die präparierte HTTP-Anfragen gegen Cisco IP-Telefon-Webserver erkennen können.
Technische Details
CVE-2020-3161 ist eine Remote-Code-Ausführungs- und Denial-of-Service-Schwachstelle im eingebetteten Webserver von Cisco IP-Telefonen. Der Webserver bietet eine Verwaltungsschnittstelle für Telefonkonfiguration, Diagnose und Statusüberwachung. Er läuft als privilegierter Prozess mit Root-Level-Zugriff auf dem Betriebssystem des Telefons.
Die Schwachstelle besteht darin, dass der Webserver HTTP-Anfrageeingaben vor der Verarbeitung nicht ordnungsgemäß validiert. Wenn das Telefon eine präparierte HTTP-Anfrage mit spezifischem bösartigem Inhalt empfängt, führt die mangelnde Eingabevalidierung zu einem Pufferüberlauf oder einer Speicherkorruptionsbedingung. Der Webserver-Prozess implementiert keine adäquate Grenzprüfung für Anforderungsfelder wie URI-Pfad, Header oder Query-Parameter.
Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) zeigt einen netzwerkbasierten Angriff mit geringer Komplexität, der keine Authentifizierung oder Benutzerinteraktion erfordert und alle drei CIA-Komponenten auf höchstem Niveau beeinträchtigt. Ein Angreifer benötigt lediglich Netzwerkzugang zur IP-Adresse des Telefons.
Mehrere Cisco IP-Telefon-Modelle der Serien 7800 und 8800 sind betroffen, darunter IP Phone 7821, 7841, 8811, 8851, 8861 und 8865. Betroffene Firmware-Versionen umfassen 10.3(1)ES14, 11.0(1) und 11.0(5)SR1. Die Schwachstelle ist sowohl im HTTP- als auch im HTTPS-Dienst vorhanden, sodass die Beschränkung auf HTTPS allein das Problem nicht behebt.
Der öffentliche Exploit demonstriert den Denial-of-Service-Aspekt durch Senden einer präparierten Anfrage, die das Telefon zum Absturz und Reload bringt. Der Remote-Code-Ausführungsaspekt nutzt dieselbe Speicherkorruption, um den Ausführungsfluss umzuleiten und Root-Shell-Zugriff auf dem eingebetteten Linux-Betriebssystem des Telefons zu erlangen.
Häufig gestellte Fragen
Wird CVE-2020-3161 aktiv ausgenutzt?
Ja, CVE-2020-3161 wird aktiv in der Praxis ausgenutzt. CISA hat die Schwachstelle am 3. November 2021 in den Known Exploited Vulnerabilities Katalog aufgenommen. Ein öffentlicher Exploit ist auf Packet Storm Security verfügbar, und der EPSS-Score von 0,83148 (99,25. Perzentile) bestätigt extrem hohe Ausnutzungsaktivität. Die einfache Ausnutzung über HTTP-Anfragen macht diese Schwachstelle für ein breites Spektrum von Angreifern zugänglich.
Welche Produkte sind von CVE-2020-3161 betroffen?
CVE-2020-3161 betrifft mehrere Cisco IP-Telefon-Modelle der Serien 7800 und 8800, darunter IP Phone 7821, 7841, 8811, 8851, 8861 und 8865. Betroffene Firmware-Versionen umfassen 10.3(1)ES14, 11.0(1) und 11.0(5)SR1. Jedes IP-Telefon mit aktiviertem und im Netzwerk erreichbarem Webserver ist verwundbar.
Wie behebe ich CVE-2020-3161?
Wenden Sie das Firmware-Update von Cisco über den Unified Communications Manager an. Als sofortige Maßnahme deaktivieren Sie den Webserver auf IP-Telefonen über das Phone-Security-Profile in CUCM, wenn die Web-Oberfläche nicht benötigt wird. Beschränken Sie den Netzwerkzugriff auf die Webserver-Ports der Telefone und stellen Sie eine ordnungsgemäße Voice-VLAN-Segmentierung sicher.
Wie schwerwiegend ist CVE-2020-3161?
CVE-2020-3161 ist mit einem CVSS-Score von 9.8 als CRITICAL eingestuft. Sie ermöglicht nicht authentifizierte Remote-Code-Ausführung mit Root-Rechten auf IP-Telefonen, was Gesprächsabhörung, Raumüberwachung über das Mikrofon und laterale Bewegung in die Voice-Infrastruktur ermöglicht. Die große Anzahl eingesetzter Cisco IP-Telefone und die Schwierigkeit des Firmware-Patchings machen diese Schwachstelle besonders herausfordernd für die Behebung in Unternehmensumgebungen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.